Di sicuro ti sarà capitato girando in rete di imbatterti, molto spesso dallo scorso 25 maggio ad oggi, sulle notifiche di modifica delle condizioni d’uso e delle regole per la privacy dei vari siti web. Beh, se non lo sai quello è uno dei primi adempimenti del nuovo il Regolamento generale sulla protezione dei dati (GDPR) voluto dall'Unione Europea per tutelare la gestione dei dati personali online, di cui tanto abbiamo letto e sentito parlare.
Il nuovo GDPR è entrato in vigore lo scorso 25 maggio 2018 ma c’è chi non ha prestato l’attenzione necessaria, credendo ancora che internet sia una sorte di far west dove tutto è concesso.
Le novità invece sono diverse, gli obblighi di quelli importanti e le sanzioni amministrative/penali in caso di violazione non sono da meno.
Riepiloghiamo?
Le novità GDPR 2018, il Regolamento generale sulla protezione dei dati
Iniziamo dicendo che il nuovo GDPR si applica a tutte le aziende che gestiscono i dati personali e/o sensibili degli utenti residenti nella UE, indipendentemente dalla dislocazione delle loro sedi. E in questo caso non c’è azienda con un minimo di dipendenti “al di sotto di” che tenga.
Le novità principali riguardano il trattamento dei dati, il consenso esplicito del consumatore, l’introduzione di un responsabile della protezione dati. Ma proviamo a scendere un po’ di più nel dettaglio.
Informativa sul trattamento dei dati
Diciamolo, chi ha mai perso tempo a leggere le informative sul trattamento dei dati personali? Non solo per pigrizia e poca attenzione, ma anche perché molte volte capitava di trovarsi di fronte a termini un po’ troppo tecnici e di difficile comprensione per i non addetti ai lavori.
Ecco, la prima novità del DGPR è nell'obbligo di rimodulare l’informativa sul trattamento dei dati personali in un linguaggio semplice e di facile comprensione. E non finisce qui.
Ogni azienda dovrà spiegare in modo esplicito:
- come saranno utilizzati i dati e per quali finalità
- per quanto tempo questi rimarranno disponibili nelle banche dati
- se ne è prevista la condivisione con terze parti (ad esempio per ragioni di marketing)
Consenso al trattamento dei dati personali
Rimane il requisito del consenso preventivo e inequivocabile ma con il nuovo GDPR addio al principio del chi tace acconsente. Il consenso al trattamento dei dati personali ormai deve essere esplicito, senza opzioni già preselezionate. Nel caso di minori di 16 anni è poi previsto un passaggio in più: il consenso al trattamento deve essere del genitore.
Diritto all'oblio e conservazione a termine
Con il nuovo DGPR del 2018 il consumatore ha il diritto all'oblio, ovvero di richiedere la cancellazione dei propri dati online nel caso in cui, ad esempio, i miei dati siano stati raccolti e trattati in modo illecito.
Altra novità importante, collegata al diritto all'oblio, è la scadenza di conservazione: se i dati non sono più necessari ai fini per i quali è stato chiesto il consenso, a cosa serve che questi vengano conservati? Nessuna durata del trattamento dei dati illimitata dunque, ma l’obbligo di cestinarli a pratica chiusa.
Violazione dei dati personali
Cosa succede in caso di violazione dei dati che mette a rischio i diritti e le libertà dell’utente? In caso di "data breach" il titolare del trattamento dei dati è tenuto ad allertare l’Autorità Garante e comunicare al diretto interessato in modo chiaro la violazione entro massimo 72 ore, specificando le azioni che intende intraprendere per “limitare i danni”.
Il DPO, Responsabile della protezione dei dati
Il Responsabile della protezione dei dati è la nuova figura introdotta dal DGPR 2018, un garante – che può essere esterno o interno – con il compito di gestire nel rispetto della normativa sulla privacy i dati raccolti dall'azienda. Una figura che deve avere competenze giuridiche, informatiche, di gestione del rischio e analisi dei processi.
Basta la semplice designazione? No, i dati del professionista scelto devono essere comunicati al Garante, perché questo sarà il punto di contato tra l’Autorità e l’Azienda.
Le sanzioni previste dal GDPR 2018
Lo abbiamo anticipato già all'inizio, le sanzioni ci sono, e non sono di quelle leggere. Non c’è un minimo stabilito, il tutto è da quantificare in base al tipo di violazione o inadempimento.
Nel caso di mancata comunicazione della nomina del Responsabile della protezione dei dati (DPO) all'Autorità Garante, violazione delle condizioni sul consenso dei minori o trattamento illecito, si parla di sanzioni amministrative fino a 10 milioni di euro; per inosservanza delle direttive imposte dal Garante o per il trasferimento illecito dei dati personali si rischiano invece sanzioni fino a 20 milioni di euro.
Sono previste sanzioni penali. Sì, ma a discrezione delle norme stabilite da ciascuno Stato.
